[CNCF 하드닝 09] 경고가 떴으면 차단된 걸까요? Falco 탐지와 대응 경계

Об этом предложении

CNCF 시리즈 에서 Falco의 런타임 보안 역할을 살펴봤습니다. 이번 목표는 실행 중 발생한 이벤트를 탐지하는 것과 그 행동을 막는 것 을 구분하는 것입니다. 알림이 왔다는 이유로 공격이 차단됐다고 보고하면 대응이 늦어질 수 있습니다. 실행 중에 알 수 있는 것 이미지 검사와 admission 정책은 실행 전 조건을 다룹니다. Falco 규칙은 들어온 이벤트를 조건과 비교하고 알림을 생성합니다. 예방 설정을 유지한 상태에서 런타임 증거를 보완하는 구조로 보겠습니다. Falco 규칙 역할 전제는 호환 Falco 엔진과 syscall 이벤트 수집 경로, 별도 실습 워크로드, 승인된 규칙 배포 경로입니다. 룰 파일이 존재해도 드라이버·이벤트 수집·출력 전달이 동작하지 않으면 기대한 경고를 볼 수 없습니다. 그림은 탐지 경로입니다. 자동 격리 같은 외부 대응은 별도로 설계·검증한 경우에만 추가해야 합니다. 최소 규칙: 컨테이너 안 shell 실행 아래는 실습용 rules-study.yaml 의 내용입니다. 기본 규칙 전체를 대체하는 파일이 아닙니다. 일반 앱에서 shell이 실행되는 상황을 관찰하는 좁은 예제입니다. - rule: Study Shell Started In Container desc: Observe selected shell execution inside a container source: syscall condition: > evt.type in (execve, execveat) and container.id != host and proc.name in (sh, bash) output: > study_shell_started container_id=%container.id process=%proc.name priority: NOTICE tags: [study, runtime] 이 조건은 shell 이름과 실행 이벤트, 컨테이너 경계를 비교합니다. bash 프로세스 이름만 검사하면 여러 syscall마다 경고가 생길 수 있어 실행 이벤트를 함께 제한했습니다. 출력에서는 명령 전체와 사용자 입력을 제외했습니다. 규칙 조건·출력 필드 프로세스 이름은 우회 가능하고 이미지마다 정상적인 shell 실행도 있습니다. 따라서 이 규칙을 악성 여부 판정기로 사용할 수는 없습니다. 정상 초기화와 승인된 디버깅이 경고를 만들 수 있다는 전제에서 운영 맥락을 붙여야 합니다. 반례부터 적어 보기 합성 이벤트 규칙 조건 컨테이너의 execve, bash 일치 호스트의 execve, bash 불일치 컨테이너의 openat, bash 불일치 컨테이너의 execve, 앱 프로세스 불일치 이는 조건을 이해하기 위한 단순화된 표입니다. 실제 엔진의 이벤트 정규화나 수집 누락을 검증하는 표는 아닙니다. 드라이버 상태와 dropped event도 별도로 확인해야 합니다. 경고가 없다는 사실만으로 실행이 없었다고 단정하지 마세요. 출력도 보호 대상입니다 proc.cmdline 에는 토큰이나 비밀번호가 들어갈 수 있습니다. 분석에 편하다는 이유로 명령 인수 전체를 무조건 저장하지 않습니다. container ID 같은 제한된 증거를 시작점으로 두고, 필요한 추가 정보는 접근이 통제된 조사 절차에서 확인하는 운영 설계를 권합니다. 알림 전달 시스템의 TLS·권한·보존 기간을 정하세요. 런타임 보안을 붙이는 동안 관측 데이터가 별도의 유출 경로가 되면 안 됩니다. 이벤트를 최소화하는 것과 규칙을 통째로 끄는 것은 서로 다릅니다. 확인과 단계 적용 아래는 독자용 조회 안내입니다. 사용자 Falco나 클러스터에서는 실행하지 않았습니다. Deployment 이름과 라벨은 실제 설치와 맞춰야 합니다. falco --version kubectl get daemonset -n falco kubectl get pods -n falco 버전·수집 컴포넌트 상태·규칙 로드 결과를 확인한 뒤 승인된 실습 이벤트로 실제 알림까지 추적해야 합니다. Falco 엔진을 통한 규칙 문법 검증과 이벤트 재생은 설치 버전이 지원하는 절차를 따르세요. YAML 파싱 성공이 엔진 검증 성공은 아닙니다. 처음에는 알림 전용으로 작은 범위를 관찰하고, 정상 작업 예외는 신원·워크로드·시간 등 근거를 갖춰 좁게 검토합니다. 시끄럽다는 이유로 전체 container 탐지를 제외하지 않습니다. 잘못된 custom 규칙은 이전 검증 규칙으로 되돌리고 기본 탐지와 예방 통제는 유지합니다. 외부 자동 격리를 연결한다면 오탐 때 서비스가 중단될 위험도 생깁니다. 승인·재시도·해제·감사 경로를 따로 검증해야 하며 이 글의 예제는 자동 차단을 구성하지 않습니다. 확인 문제 Falco 알림이 생성되면 해당 프로세스도 자동 종료될까요? 로그가 없으면 수집 누락 가능성도 없을까요? shell 이름에 맞으면 반드시 공격일까요? 답과 해설: 1. 이 규칙은 알림만 만듭니다. 2. 수집·전달 상태를 확인해야 합니다. 3. 정상 작업 맥락과 추가 증거가 필요합니다. 오늘은 일치·불일치 표를 채우고, 내일은 정상 shell 실행 사례를 적어 보세요. 일주일 뒤에는 경고 전달과 dropped event 관측을 함께 확인하세요. 버전과 검증 범위 2026-10-04 공식 문서 확인. 엔진·드라이버 버전은 실제 설치에서 확인해야 합니다. 로컬 YAML 필수 필드와 합성 이벤트 네 경우, 출력의 명령 인수 제외를 검증했습니다. Falco 엔진 파서·실제 syscall 수집·알림 전달·자동 대응은 테스트하지 않았습니다.